En julio de 2012, el editor de la especificación de OAuth 2.0 renunció. Eran Hammer había llevado la pluma durante años: en el IETF, el editor es quien escribe el texto normativo y arbitra el diseño mientras el grupo de trabajo discute, no un corrector. Antes había editado el estándar publicado de OAuth 1.0. Retiró su nombre de la versión 2.0, se marchó y publicó un texto muy leído titulado «OAuth 2.0 and the Road to Hell».
Su queja no era académica. El protocolo, escribió, había quedado vaciado hasta convertirse en «un plano» que cada proveedor perfilaría en su propio producto incompatible. A eso lo llamó «the enterprise way», la «vía WS-*». Y advirtió, con todas las letras, que la 2.0 «ofrece una frontera completamente nueva para vender servicios de consultoría y soluciones de integración». La RFC 6749 salió tres meses después con el nombre de Dick Hardt en su lugar.
Catorce años más tarde, encender el inicio de sesión corporativo que exige tu cliente más grande cuesta unos 125 dólares por conexión al mes, o está detrás de un nivel llamado «Enterprise», o detrás de un botón de «contactar con ventas» que suma tres semanas a un plazo con el que ya ibas tarde. Hammer vio la forma de todo eso en 2012, desde dentro de la sala donde se estaba decidiendo.
Así que vale la pena rehacer el camino entero: quién escribió estos estándares, qué creían estar construyendo y cómo terminó siendo una partida de la factura. El foso que salió de ahí es real. También está hecho de dos materiales distintos, y solo uno de ellos sigue aguantando.
Los protocolos estaban terminados antes que los precios
Para 2015 el trabajo de estandarización estaba esencialmente hecho. SAML 2.0 llegó como estándar de OASIS en marzo de 2005, es decir, es anterior al iPhone. OAuth 2.0 se publicó como RFC 6749 en 2012. OpenID Connect construyó la identidad encima en 2014. SCIM, el protocolo que da de alta y de baja usuarios entre sistemas, alcanzó su revisión 2.0 (RFC 7642 a 7644) en septiembre de 2015. Las cuatro piezas que componen la «autenticación empresarial» estaban especificadas, eran interoperables y de implementación libre hace más de una década.
Nada de ellas ha cambiado materialmente desde entonces. Una aserción SAML firmada hoy se parece a una firmada en 2008. Eso descarta la justificación habitual de un sobreprecio: la novedad. El SSO empresarial no es una función de frontera cuyo desarrollo cueste una fortuna, y a un proveedor no le cuesta más atender un inicio de sesión que llegó por SAML que uno que llegó con contraseña. Es infraestructura asentada. Lo que plantea la pregunta de dónde salió el precio, si no de la ingeniería.
Los grupos de trabajo que lo escribieron no eran equipos de ventas
Empieza por quién escribió las especificaciones, porque explica mucho. SAML no surgió de una reunión de precios. Salió de un comité técnico de OASIS, y la presidenta fundadora de ese grupo fue Eve Maler, entonces directora de tecnología en Sun Microsystems, que había pasado años en los estándares de marcado y federación que hicieron posible el inicio de sesión entre empresas. El resultado fue un documento público que cualquiera podía implementar, gratis.
El ánimo de aquella época era la apertura, no el cercado. En agosto de 2005, en el OSCON de O'Reilly, Dick Hardt, de Sxip Identity, dio una keynote vertiginosa titulada «Identity 2.0» que se ha visto y revisto desde entonces. La propuesta era una web donde tu identidad fuera tuya y portátil, llevada de un sitio a otro en vez de encerrada en el directorio de cada uno. Un año después, OAuth empezó igual. Blaine Cook, que construía la API de Twitter, quería una forma de que una aplicación actuara en tu nombre en otra sin que los usuarios entregaran sus contraseñas, no encontró ningún estándar abierto para ello y se sentó a principios de 2007 con Chris Messina, David Recordon y un puñado más a escribir uno. La primera especificación de OAuth salió ese mismo año. Nadie en ese grupo intentaba construir un peaje. Intentaban que la web dejara de pedirle la contraseña a la gente.
De qué advertía Hammer en realidad
Luego el estándar creció, y la sala cambió. OAuth 2.0 se propuso generalizar la primera versión, y el grupo de trabajo se llenó de intereses más grandes. Comparado con la 1.0, escribió Hammer al salir, el resultado se había vuelto «más complejo, menos interoperable, menos útil, más incompleto y, lo más importante, menos seguro». La comparación a la que recurrió, la pila WS-* de la década anterior, era el ejemplo más claro del sector de una especificación abierta convertida en un mercado de trabajo de integración.
Léelo de nuevo con una década de perspectiva y aterriza como un pronóstico. Lo que acabaría facturándose por conexión ya estaba, en 2012, siendo moldeado por la gente que luego lo facturaría. OpenID Connect volvió a poner la identidad sobre una base limpia encima de OAuth 2.0 en 2014, redactado por Nat Sakimura en el Nomura Research Institute junto a John Bradley y Mike Jones, y es un trabajo genuinamente bueno sobre el que todavía funciona el sector entero. Pero mira dónde estaban sentados sus autores: Bradley en Ping Identity, Jones en Microsoft. Las especificaciones siguieron abiertas y libres de implementar. Quienes las escribían trabajaban cada vez más para las empresas que venderían el resultado.
Los mismos que escribieron el estándar acabaron vendiéndolo
La capa comercial no llegó desde fuera del mundo de los estándares. Creció directamente de él, a menudo por las mismas manos. Eve Maler, que presidió en Sun el grupo del que salió SAML, entró en ForgeRock en 2014 como vicepresidenta de innovación y más tarde fue su directora de tecnología. ForgeRock estaba construida sobre la pila de identidad que Sun había liberado como OpenSSO, y en 2023 se integró en Ping Identity. Ping existe desde 2002, lo bastante pronto para ayudar a escribir el manual de federación que luego vendió durante dos décadas. Nada de esto fue turbio. El punto es más estrecho y más extraño: la especificación abierta y el producto con precio nunca fueron dos mundos separados. La misma experiencia escribió ambos.
La generación cloud heredó el patrón, y el instinto de tarificar viajó con él. Okta la fundaron en 2009 Todd McKinnon, que había dirigido ingeniería en Salesforce, y Frederic Kerrest; salió a bolsa en 2017 y, en 2021, pagó 6.500 millones de dólares en acciones por Auth0. Auth0 era la opción amable con los desarrolladores, arrancada en 2013 por dos ingenieros argentinos, Eugenio Pace y Matías Woloski, que se habían conocido haciendo consultoría y se propusieron reducir el login de una aplicación a unas pocas llamadas de API. Que una empresa cuya propuesta entera era la comodidad del desarrollador valiera aun así seis mil quinientos millones es la señal: quien posee la caja de inicio de sesión posee una carretera por la que tiene que pasar cualquier otra función. La ola más reciente lo dice abiertamente en su marketing. WorkOS, fundada en 2019 por Michael Grinich, vende lo que él llama cruzar el «enterprise chasm»: hacer un producto «enterprise-ready» suministrando precisamente las piezas que se facturan, es decir, SSO, sincronización de directorio y registros de auditoría. El SSO es la pieza empresarial. En el SSO está el dinero. Así que al SSO le ponen la etiqueta.
Por qué el precio sigue tu plazo, no el código
Rob Chahin se fijó en el patrón y en 2019 arrancó una lista pública en sso.tax, el «SSO Wall of Shame», que cataloga cuánto cobran las empresas de software por encender SAML. Algunos recargos son absurdos a simple vista: un plan base que se multiplica varias veces en cuanto aparece SSO en él. La lista es larga porque la estrategia funciona.
Funciona por el momento en que el comprador necesita la función. Nadie compra SSO una tarde tranquila. Lo necesitas justo cuando el equipo de seguridad de un cliente grande lo pone como condición para firmar, o la semana en que tu propio auditor de SOC 2 pregunta cómo controlas los accesos. Lo necesitas contra un plazo, con un acuerdo o un certificado en juego, y lo necesitas ya. Ese es el momento menos sensible al precio que vive un comprador, y la tarificación está construida alrededor de él. El sobreprecio nunca se calibró contra el coste marginal de implementar SAML, que se redondea a cero. Se calibró contra lo poco que puedes negociar el día en que por fin lo necesitas.
Esa es la forma real de lo que la gente llama el impuesto SSO. No es un precio sobre una función. Es un precio sobre un plazo.
De qué está hecho realmente el foso
¿Cuán defendible es esa posición, entonces? El foso que sostienen los actores establecidos es real, pero está hecho de dos materiales distintos, y no son igual de sólidos.
El primero es la complejidad. SAML es viejo, pero no es sencillo de implementar bien. Validación de firmas, canonicalización de XML, aserciones cifradas, metadatos que rotan y la larga cola de rarezas que cada proveedor de identidad entrega a su manera: hacerlo todo correcto, y seguro, ha significado históricamente semanas de trabajo especializado, y una fuente abundante de fallos de seguridad cuando se hace mal. SCIM añade su propia superficie. Construir esto una vez era una inversión de verdad. Construirlo contra cada IdP que tus clientes puedan traer, y operarlo con fiabilidad, era un foso detrás del cual cabía una empresa entera.
El segundo material es la confianza. Un equipo de seguridad corporativo tiene que aceptar tu capa de identidad, y eso significa SOC 2, pruebas de penetración, historial, una empresa que siga existiendo dentro de cinco años y alguien a quien llamar a las dos de la mañana cuando la federación se rompe. Ningún código ingenioso acorta eso. Se gana despacio, y es con diferencia la mitad más dura del foso.
Durante veinte años esas dos mitades se reforzaron mutuamente, y la tarificación las trató como una sola cosa indivisible. No son una sola cosa.
La mitad del foso que la IA está drenando
Esto es lo que cambió. La mitad de complejidad de ese foso era, en el fondo, un problema de conocimiento y de horas: los protocolos están bien especificados y ampliamente documentados, pero conectarlos correctamente exigía una experiencia escasa y cara, y mucho tiempo. Ese es justo el tipo de problema en el que los asistentes de código con IA son buenos. Un estándar asentado, de veinte años, con abundantes implementaciones de referencia públicas, es casi su mejor caso. El trabajo que antes requería un especialista en identidad durante un mes cada vez más requiere un ingeniero competente y un buen asistente durante una semana.
Ten cuidado con lo que eso erosiona y lo que no. No toca la mitad de la confianza. La IA no te entrega un SOC 2, ni una reputación en seguridad, ni una guardia de 24 horas, y si acaso, la avalancha de código de autenticación generado por máquinas hace que un proveedor auditado y curtido valga más, no menos. Pero a la mitad de complejidad le mete la motosierra. Eso importa, porque la tarificación se apoyaba discretamente en las dos mitades a la vez. Cuando implementar SAML deja de ser un foso y pasa a ser un fin de semana, «solo en Enterprise» ya no es una afirmación sobre lo que cuesta construir. Es una afirmación sobre lo que el proveedor ha decidido cobrar. La brecha de capacidad se está cerrando más rápido de lo que admite la lista de precios.
Un equipo pequeño regalando las funciones gravadas
Nosotros somos un dato en esa discusión. Authagonal es un equipo pequeño, y el SSO, SAML y SCIM no son nuestro upsell; están en el plan gratuito, con conexiones ilimitadas, hasta 250 usuarios activos al mes y sin tarjeta. Los planes de pago empiezan en 29 dólares al mes y llevan el mismo conjunto de funciones en todos los niveles. Ponlo frente al precio de mercado de la misma capacidad: WorkOS cobra el SSO a unos 125 dólares por conexión al mes y SCIM otros 125; Clerk te da una conexión y luego unos 75 por cada una siguiente; Auth0 incluye una conexión gratis hasta 25.000 usuarios y después desvía el SSO de producción a su línea de negocio más cara. No somos más baratos porque hayamos encontrado un truco. Somos más baratos porque la función cuesta casi nada de proveer, y nos negamos a ponerle precio como si fuera escasa.
Nada de esto significa que los establecidos estén a punto de caer. La mitad de confianza de su foso es real, y llevan dos décadas construyéndola. Pero la historia de que la autenticación empresarial es cara porque es difícil cada vez cuesta más contarla con cara seria, justo cuando las herramientas que la hacen fácil llegan a todo el mundo. Para ver lo que cuestan estas funciones cuando dejas de pagar el impuesto, nuestra página de precios pone todas ellas en el mismo plan, y la calculadora del impuesto SSO valorará tu configuración exacta frente a los proveedores que lo siguen cobrando.
Top comments (0)